• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_POSTBOT.FH

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• nvkwer23gxdw

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
MMID = "{random value}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Enumerate all drives with corresponding drive types
• Enumerate files and directories
• Copy, move, rename, or delete files
• Create directories
• Create and terminate arbitrary processes
• Copy %System%\cmd.exe as %User Temp%\ms1ng2d3d2.exe
• Perform remote shell
• Upload files to C&C server
• Download files from C&C server
• Execute the file %System%\msvid.exe with the parameter /u
• Execute an arbitrary file with the parameter /g msvid.exe
• Sleep for a specified amount of time

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {C&C domain name}/{8 random characters}{hard-coded string}
  where {hard-coded string} can be any of the following:
  • {BLOCKED}e.php
  • {BLOCKED}x.php
  • {BLOCKED}ye.php
  • {BLOCKED}u.php
  • {BLOCKED}g.php
  • {BLOCKED}gv.php
  • {BLOCKED}nr.php
  • {BLOCKED}ew.php
  • {BLOCKED}q.php
  • {BLOCKED}lk.php
  • {BLOCKED}t.php
  • {BLOCKED}d.php
  • {BLOCKED}xe.php
  • {BLOCKED}e.php
  • {BLOCKED}dg.php
  • {BLOCKED}w.php
  • {BLOCKED}er.php
  • {BLOCKED}kt.php
  • {BLOCKED}gv.php
  • {BLOCKED}tr.php
  • {BLOCKED}io.php
  • {BLOCKED}ie.php

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください